Scientific Linux 安全更新：SL7.x i686/x86_64 上的 java-11-openjdk (2022:0204)

medium Nessus 插件 ID 157050

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

远程 Scientific Linux 7 主机上安装的程序包受到 SLSA-2022: 0204-1 公告中提及的多个漏洞影响。

 - OpenJDK：ObjectInputStream 未完整过滤反序列化类 (Serialization, 8264934) (CVE-2022-21248)

 - OpenJDK：TIFFNullDecompressor 未正确读取 TIFF 文件 (ImageIO, 8270952) (CVE-2022-21277)

 - OpenJDK：XSLT TransformerImpl 未充分检查 URI (JAXP, 8270492) (CVE-2022-21282)

 - OpenJDK：regex 模式下抛出意外异常 (Libraries, 8268813) (CVE-2022-21283)

 - OpenJDK：错误标记可写入字段 (Hotspot, 8270386) (CVE-2022-21291)

 - OpenJDK：反序列化期间未完整检查 StringBuffer 和 StringBuilder (Libraries, 8270392) (CVE-2022-21293)

 - OpenJDK：反序列化期间未正确检查 IdentityHashMap 大小 (Libraries, 8270416) (CVE-2022-21294)

 - OpenJDK：XMLEntityManager 未正确检查访问权限 (JAXP, 8270498) (CVE-2022-21296)

 - OpenJDK：因 XMLEntityScanner 未正确处理换行符而造成无限循环 (JAXP, 8270646) (CVE-2022-21299)

 - OpenJDK：LIRGenerator 中存在数组索引问题 (Hotspot, 8272014) (CVE-2022-21305)

 - OpenJDK：读取 JAR 清单属性时过量使用资源问题 (Libraries, 8272026) (CVE-2022-21340)

 - OpenJDK：ObjectInputStream 在反序列化异常期间未进行充分检查 (Serialization, 8272236) (CVE-2022-21341)

 - OpenJDK：BMPImageReader 中分配的内存过多 (ImageIO, 8273756) (CVE-2022-21360)

 - OpenJDK：BMPImageReader 中存在整数溢出 (ImageIO, 8273838) (CVE-2022-21365)

 - OpenJDK：TIFF*Decompressor 中存在内存分配过量问题 (ImageIO, 8274096) (CVE-2022-21366)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

解决方案

更新受影响的程序包。

另见

https://www.scientificlinux.org/category/sl-errata/slsa-20220204-1

插件详情

严重性: Medium

ID: 157050

文件名: sl_20220124_java_11_openjdk_on_SL7_x.nasl

版本: 1.3

类型: local

代理: unix

发布时间: 2022/1/24

最近更新时间: 2022/4/27

支持的传感器: Nessus Agent

风险信息

VPR

风险因素: Low

分数: 2.2

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

时间矢量: CVSS2#E:U/RL:OF/RC:C

CVSS 分数来源: CVE-2022-21291

CVSS v3

风险因素: Medium

基本分数: 5.3

时间分数: 4.6

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/o:fermilab:scientific_linux, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-debuginfo, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-demo, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-devel, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-headless, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-javadoc, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-javadoc-zip, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-jmods, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-src, p-cpe:/a:fermilab:scientific_linux:java-11-openjdk-static-libs

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/rpm-list, Host/cpu, Host/RedHat/release

易利用性: No known exploits are available

补丁发布日期: 2022/1/24

漏洞发布日期: 2022/1/18

参考资料信息

CVE: CVE-2022-21248, CVE-2022-21277, CVE-2022-21282, CVE-2022-21283, CVE-2022-21291, CVE-2022-21293, CVE-2022-21294, CVE-2022-21296, CVE-2022-21299, CVE-2022-21305, CVE-2022-21340, CVE-2022-21341, CVE-2022-21360, CVE-2022-21365, CVE-2022-21366

IAVA: 2022-A-0031-S

RHSA: RHSA-2022:0204